A maioria das famílias deste catálogo foi inventada uma vez e melhorada. Esta foi construída, julgada fracasso, abandonada em silêncio, e então reconstruída por gente que em boa medida não sabia que ela tinha existido - e o começo dela é quarenta anos anterior à sigla.

1984: começou onde o acesso era caro

A era alcançada por um Terminal Access Controller - o equipamento em que um terminal se conectava para entrar na rede. Controlar quem podia usar um deles é a forma mais antiga desta disciplina, e produziu o primeiro protocolo dela.

O TACACS, Terminal Access Controller Access-Control System, foi desenvolvido em 1984 pela BBN, sob contrato da DARPA, para administrar a ARPANET e a MILNET. Brian Anderson escreveu a primeira descrição formal como 927, em dezembro de 1984.

Duas coisas naquela origem decidem tudo o que vem depois.

Ele foi construído para REDUZIR autenticação, e não para acrescentá-la. O problema que Anderson resolvia era que alguém já autenticado num host precisava se autenticar de novo para alcançar outro; a resposta foi passar um identificador de usuário entre hosts, para que o sistema receptor confiasse no emissor. O primeiro protocolo de controle de acesso à rede era um recurso de conveniência. Virou controle de segurança depois, que é a quarta vez neste catálogo em que um mecanismo construído para um fim foi apontado para segurança em seguida - depois das listas de acesso de roteador virando firewall, do lint virando análise estática, e do DNS virando ponto de imposição.

E ele supunha controle físico do fio. As credenciais iam em texto claro, o que era aceitável numa rede de instituições de pesquisa e bases militares em que o cabo era contabilizado. Essa suposição é a que o artigo de escopos nomeia como fundamento do modelo de perímetro inteiro - dentro era confiável porque dentro era administrado - e é a suposição que toda entrada posterior desta família tenta consertar.

A Cisco passou a suportar o TACACS nos produtos dela no fim dos anos 1980, o estendeu de forma incompatível como XTACACS em 1990, e o substituiu pelo a partir de 1993 - protocolo separado que dividiu a função em autenticação, autorização e contabilização, as três perguntas que esta família faz desde então. O (remote authentication dial-in user service) veio da Livingston Enterprises em 1991 como contraponto, e virou a língua do acesso discado.

Por que a rede local perdeu o hábito

Aqui está a parte que explica por que o controle de acesso à rede precisou ser reinventado.

Quando o acesso era escasso, autenticar era inerente. Para alcançar uma rede você discava um modem para um controlador de acesso de terminal ou um servidor de acesso, e aquele equipamento perguntava quem você era porque não tinha escolha - a porta era medida, a sessão era faturada, e alguém precisava responder por ela.

A rede local tornou o acesso gratuito, e a pergunta desapareceu junto com o custo. Uma tomada de parede não mede nada. Plugar era a autenticação, e por uns quinze anos a indústria construiu redes enormes sobre a premissa de que presença física num prédio era prova suficiente de qualquer coisa.

Tudo o que vem depois deste ponto do artigo é o longo projeto de devolver à rede local a disciplina que o mundo discado nunca teve o luxo de largar. O 802.1X, padronizado em 2001, é exatamente isso: a troca de autenticação dos enlaces ponto a ponto, carregada sobre uma porta de comutador, chegando a uma camada projetada para confiar em qualquer coisa que se conecte. É por isso que instalá-lo depois dói tanto, e é a única peça desta família que sobreviveu sem ambiguidade.

1999: um comutador que pede permissão

A RFC 2643 descreve o produto de rede local virtual da Cabletron, a SecureFast , e lê-la hoje desorienta. Ela documenta um protocolo de comutação distribuído e orientado a conexão: para cada par de endereço de origem e destino que um comutador encontra, uma conexão é programada no hardware, e todo pacote seguinte daquela conversa é encaminhado por ela.

Duas consequências decorrem disso, e a segunda é a que importa aqui.

Uma conversa tinha um caminho, escolhido entre alternativas de custo igual e balanceado pela malha, com comutador de entrada, comutadores intermediários e comutador de saída - vocabulário emprestado da telefonia, e não da .

E uma conversa podia ser recusada. Naquele modelo, uma VLAN não é domínio de difusão; é escopo de política, e cada uma carrega um valor de política - Open ou Secure - usado para decidir se uma conexão de chamada pode sequer ser estabelecida.

Isso é controle de acesso à rede, dentro de uma arquitetura de comutação, publicado em 1999. A decisão de permitir uma conversa acontecia antes de a conversa existir, na malha, com base em quem eram as pontas, e não em onde elas estavam plugadas.

Aquilo perdeu, por completo. Ethernet orientada a conexão era cara em silício e em estado, comutação barata de mercado estava chegando, e a indústria se padronizou no 802.1Q, que o artigo de escopos traça - uma etiqueta num quadro, e não uma chamada que a rede concorda em completar. O modelo mais simples venceu por ser mais barato, exatamente como o comutador venceu a ponte e a inspeção com estado venceu os proxies.

Enterasys Secure Networks, e o que aquilo de fato fazia

A Cabletron se reorganizou em 2000 e a linha corporativa virou Enterasys, que passou a década seguinte construindo a segunda versão da mesma convicção: a de que a própria rede deve aplicar política, e não apenas carregar tráfego.

Em 2007 a documentação do produto já descreve algo que o mercado levou outra década para alcançar:

Antes e depois da conexão. A maior parte do controle de acesso daquela época conferia o dispositivo na porta e nunca mais olhava. Este conferia antes de admitir e continuava avaliando depois, que é a metade difícil e a que importa, porque um notebook limpo às nove é outra proposta às onze.

Sem agente, e multifabricante. A documentação é explícita: nenhum equipamento de comutação novo precisava ser implantado e nenhum agente precisava ser instalado em todas as máquinas. Os dois eram resposta direta ao motivo de as abordagens concorrentes falharem na prática.

Autenticação multiusuário e multimétodo, para que máquinas com 802.1X, impressoras que autenticam por endereço e visitantes num portal cativo coexistissem na mesma infraestrutura de portas.

E a integração que é o ponto desta entrada. A política era aplicada continuamente juntando três coisas: a decisão de controle de acesso, o Dragon - que combinava detecção de intrusão, prevenção de intrusão, detecção de anomalia de comportamento de rede e gestão de informação de segurança - e o NetSight Automated Security Manager, que alinhava a detecção do evento à localização da origem e mitigava ali.

Leia com atenção, porque é o projeto inteiro: o sistema de detecção diz que algo está errado, a camada de gestão resolve aquilo para uma porta física num comutador específico, e a camada de controle de acesso muda o que aquela porta pode fazer - automaticamente, sem pessoa, dentro do mesmo sistema. Detectar, localizar, conter, remediar, como um laço só.

O resto do mercado vendia aquilo como quatro produtos de três fabricantes, sem integração, que é exatamente por que não funcionava.

O resto do campo

O Network Admission Control da Cisco embutiu a mesma ideia no próprio equipamento e o exigiu, o que significava que a postura de segurança de uma rede dependia de trocar a rede.

O Network Access Protection da Microsoft chegou com o Windows Server 2008 - baseado em agente, profundamente integrado ao Windows, e inútil para as impressoras, telefones, câmeras e terceiros que formam a parte difícil de qualquer parque. Foi depreciado e removido.

O 802.1X por baixo de todos é a única peça que sobreviveu sem ambiguidade, e vale ser preciso sobre o que ele é: autenticação chegando a uma camada construída para confiar em qualquer coisa que se conecte, e é por isso que instalá-lo depois dói tanto.

O esforço de interoperabilidade daquele período - fabricantes certificando os agentes uns dos outros, a Enterasys testando contra a tecnologia da Microsoft, a Foundry demonstrando com os servidores de política da Microsoft - é pedaço real e esquecido de história. A indústria TENTOU fazer aquilo funcionar entre fabricantes, e a tentativa está mais bem documentada que o desfecho.

Por que foi chamada de fracasso

Por volta de 2010, controle de acesso à rede era piada, e as razões eram operacionais, e não técnicas.

O parque não colaborava. Impressoras, leitoras de crachá, equipamentos médicos, controladores industriais e sistemas prediais não rodam agente e frequentemente não autenticam de jeito nenhum, então toda implantação acumulava exceções até as exceções serem a política.

Agente não escala. Qualquer coisa que exija software em todo endpoint falha na fronteira do parque gerenciado, e a fronteira do parque gerenciado é exatamente onde está o risco.

Imposição quebrava coisas de forma visível. Pôr em quarentena um dispositivo que se revela o notebook do presidente ou a bomba de infusão de uma enfermaria é evento de carreira, então as implantações ficavam em modo de monitoração - o mesmo padrão que o artigo de firewall de aplicação web registra, pela mesma razão.

E o perímetro que ela defendia deixou de existir. Como o artigo de escopos argumenta, controlar a porta deixa de ser decisivo quando o usuário está em casa e a aplicação está na nuvem de outra pessoa.

O que de fato aconteceu com ela

Ela não morreu. Foi renomeada e teve o escopo mudado.

Confiança zero é, na substância, a mesma alegação: nunca confiar por localização, avaliar continuamente, autorizar por recurso. Postura de dispositivo num provedor de identidade é a verificação de saúde, movida do comutador para o login. Acesso condicional é o motor de política. Detecção e resposta em endpoint alimentando uma plataforma de identidade para revogar sessão é detectar-localizar-conter-remediar, rodando acima da rede em vez de dentro dela.

As diferenças são reais e merecem ser nomeadas. A imposição moderna acontece na camada de aplicação e de identidade, e não na porta, o que funciona para um notebook num café e não faz nada por uma câmera comprometida numa VLAN de fábrica. O modelo antigo alcançava a porta e não alcançava a nuvem; o novo é o inverso, e os parques que precisam dos dois estão rodando os dois.

Enquanto isso, o problema original voltou sob pressão nova: tecnologia operacional, sistemas prediais e dispositivos conectados são exatamente a população que não roda agente, e controlá-los significa controlar a porta. Controle de acesso na borda da rede está sendo comprado de novo, por gente que não usaria a sigla.

Cargos e práticas

Esta família não produziu cargo duradouro e produziu um conjunto de práticas que transferem por completo.

Monitorar antes de impor, com data - a disciplina que este catálogo encontra em toda família capaz de quebrar produção. O registro de exceções, porque dispositivo que não autentica é permanente e fingir o contrário produz política sombra. Perfilar antes de escrever política, já que não dá para escrever regra para um parque que não foi inventariado, e toda implantação descobre dispositivos que ninguém sabia que estavam conectados. E um caminho de volta testado, porque o modo de falha aqui é trancar a organização para fora.

O hábito mais valioso que ela deixou é o menos técnico: decidir de antemão quem tem permissão de pôr um dispositivo em quarentena às três da manhã, e o que acontece se essa pessoa errar.

Para onde vai

As duas metades estão convergindo. Acesso condicional na camada de identidade e imposição na camada de rede estão sendo vendidos juntos, porque os parques que importam contêm tanto notebooks quanto coisas que nunca vão rodar software.

Microssegmentação é a mesma ideia num grão mais fino. Decidir se uma carga de trabalho pode falar com outra, continuamente, é a pergunta da SecureFast com as pontas trocadas de pessoas para processos.

E o registro merece ser dito com clareza. Uma malha orientada a conexão que se recusava a construir um caminho sem a política permitir, e um laço integrado da detecção até a contenção automática na porta de origem, eram produtos entregues antes de a maior parte do vocabulário atual existir. Eles não estavam à frente da tecnologia; estavam à frente do apetite operacional. Estar cedo é indistinguível de estar errado, até alguém reconstruir aquilo e chamar de outra coisa.

Fontes