A maioria das famílias deste catálogo foi inventada uma vez e depois aperfeiçoada. Esta foi construída, considerada um fracasso, abandonada sem alarde e depois reconstruída por gente que, em grande parte, nem sabia que ela tinha existido. E o começo dela é quarenta anos mais antigo que a sigla.

1984: tudo começou onde o acesso era caro

O acesso à passava por um Terminal Access Controller, o equipamento ao qual o terminal se conectava para conseguir entrar na rede. Controlar quem podia usar esse equipamento é a forma mais antiga desta disciplina, e foi daí que saiu o primeiro protocolo dela.

O TACACS (Terminal Access Controller Access-Control System) foi desenvolvido em 1984 pela BBN, sob contrato com a DARPA, para administrar a ARPANET e a MILNET. Brian Anderson escreveu a primeira descrição formal do protocolo, a 927, em dezembro de 1984.

Duas coisas dessa origem definem tudo o que veio depois.

Ele foi feito para diminuir a autenticação, e não para aumentar. O problema que Anderson queria resolver era o de quem já estava logado num host e tinha de se autenticar de novo para chegar a outro; a solução foi passar um identificador do usuário de um host para o outro, para que o sistema que recebia a conexão pudesse confiar no sistema que a enviava. O primeiro protocolo de controle de acesso à rede era um recurso de conveniência. Só mais tarde virou controle de segurança, e esta é a quarta vez, neste catálogo, que um mecanismo criado para uma finalidade acaba sendo usado para segurança. As outras três: as listas de acesso dos roteadores, que viraram firewall; o lint, que virou análise estática; e o DNS, que virou ponto de aplicação de política.

E ele partia do princípio de que o cabo estava sob controle físico. As credenciais trafegavam em texto claro, o que era aceitável numa rede de instituições de pesquisa e bases militares, onde se sabia por onde passava cada cabo. Essa é a premissa que o artigo sobre escopos de rede aponta como a base de todo o modelo de perímetro (o lado de dentro era confiável porque o lado de dentro era administrado), e é essa premissa que cada geração seguinte desta família tenta corrigir.

A Cisco passou a dar suporte ao TACACS nos seus produtos no fim dos anos 1980, criou em 1990 uma extensão incompatível, o XTACACS, e a partir de 1993 o substituiu pelo , um protocolo à parte que dividiu a função em autenticação, autorização e accounting (contabilização), as três perguntas que esta família faz desde então. O (remote authentication dial-in user service) veio da Livingston Enterprises em 1991, como o protocolo equivalente, e virou o idioma do acesso discado.

Por que a rede local perdeu o hábito

É esta parte que explica por que foi preciso reinventar o controle de acesso à rede.

Quando o acesso era escasso, a autenticação fazia parte dele. Para chegar a uma rede, você discava com o modem para um terminal access controller ou para um servidor de acesso, e esse equipamento perguntava quem você era porque não tinha alternativa: o uso da porta era medido, a sessão era cobrada e alguém tinha de responder por ela.

A rede local tornou o acesso gratuito, e a pergunta sumiu junto com o custo. Um ponto de rede na parede não mede nada. Conectar o cabo era a autenticação, e por uns quinze anos a indústria construiu redes enormes partindo da premissa de que estar fisicamente dentro do prédio bastava como prova de qualquer coisa.

Tudo o que vem a seguir neste artigo é o longo trabalho de devolver à rede local a disciplina que o mundo do acesso discado nunca pôde se dar ao luxo de abandonar. O 802.1X, padronizado em 2001, é exatamente isso: a troca de autenticação dos links ponto a ponto, agora levada para uma porta de switch, chegando a uma camada que foi projetada para confiar em qualquer coisa conectada a ela. É por isso que implantá-lo numa rede que já existe é tão penoso, e é também por isso que ele é a única peça desta família que sobreviveu sem ressalvas.

1999: um switch que pede permissão

A RFC 2643 descreve a SecureFast , o produto de rede local virtual (VLAN) da Cabletron, e lê-la hoje é desconcertante. Ela documenta um protocolo de comutação distribuído e orientado a conexão: para cada par de endereços de origem e destino que um switch encontra, uma conexão é programada no hardware, e todos os pacotes seguintes daquela conversa seguem por ela.

Daí saem duas consequências, e é a segunda que importa aqui.

Cada conversa tinha um caminho, escolhido entre alternativas de mesmo custo, com a carga distribuída pelo fabric (a malha de switches), e esse caminho tinha um switch de entrada, switches intermediários e um switch de saída: um vocabulário emprestado da telefonia, e não da .

E uma conversa podia ser recusada. Nesse modelo, a VLAN não é um domínio de broadcast; é um escopo de política, e cada VLAN tem um valor de política, Open ou Secure, usado para decidir se uma conexão de chamada pode ou não ser estabelecida.

Isso é controle de acesso à rede, dentro de uma arquitetura de comutação, publicado em 1999. A decisão de permitir uma conversa acontecia antes de a conversa existir, dentro do fabric, com base em quem eram os endpoints, e não em que porta eles estavam conectados.

A SecureFast perdeu, e perdeu feio. A Ethernet orientada a conexão custava caro em silício e em estado, o switching barato, feito com chips de prateleira, estava chegando, e a indústria padronizou o 802.1Q, cuja história está no artigo sobre escopos de rede: uma tag colocada no frame (o quadro Ethernet), e não uma chamada que a rede aceita completar. O modelo mais simples venceu porque era mais barato, exatamente como o switch venceu a bridge e a inspeção stateful venceu os proxies.

Enterasys Secure Networks e o que ele fazia de fato

Em 2000 a Cabletron se reorganizou, e a linha corporativa virou a Enterasys, que passou a década seguinte construindo a segunda versão da mesma convicção: a de que a própria rede deve aplicar a política, e não só transportar tráfego.

Em 2007, a documentação do produto já descrevia algo a que o mercado só chegaria uma década depois:

Pré-conexão e pós-conexão. Quase todo controle de acesso da época verificava o dispositivo na entrada e nunca mais olhava para ele. Este verificava antes de admitir e continuava avaliando depois, que é a metade mais difícil e a que importa, porque um notebook que estava limpo às nove pode ser outra história às onze.

Sem agente e multifabricante. A documentação deixa claro que não era preciso implantar hardware de switching novo nem instalar um agente em cada máquina. As duas coisas respondiam diretamente aos motivos pelos quais as abordagens concorrentes falhavam na prática.

Autenticação multiusuário e multimétodo, para que máquinas com 802.1X, impressoras que se autenticam pelo endereço e visitantes num portal cativo pudessem conviver na mesma infraestrutura de portas.

E a integração, que é o ponto central desta história. A política era aplicada o tempo todo pela junção de três peças: a decisão de controle de acesso; o Dragon, que reunia detecção de intrusão, prevenção de intrusão, detecção de anomalias no comportamento da rede e gestão de informações de segurança; e o NetSight Automated Security Manager, que cruzava a detecção do evento com a localização da origem e fazia a mitigação ali mesmo.

Vale ler com calma, porque o projeto inteiro está aí: o sistema de detecção de intrusão diz que algo está errado, a camada de gerência traduz isso para uma porta física de um switch específico, e a camada de controle de acesso muda o que aquela porta pode fazer, tudo automaticamente, sem ninguém intervir, dentro do mesmo sistema. Detectar, localizar, conter e remediar, num único ciclo.

O resto do mercado vendia essas funções como quatro produtos de três fabricantes, sem integração nenhuma, e é exatamente por isso que elas não funcionavam.

O resto do mercado

O Network Admission Control da Cisco embutiu a mesma ideia nos equipamentos da própria Cisco e exigia esses equipamentos, o que fazia a postura de segurança de uma rede depender da troca da própria rede.

O Network Access Protection da Microsoft chegou com o Windows Server 2008: baseado em agente, profundamente integrado ao Windows e inútil para as impressoras, os telefones, as câmeras e os terceirizados que formam a parte difícil de qualquer parque. Foi marcado como obsoleto e depois removido.

Por baixo de todos eles, o 802.1X é a única peça que sobreviveu sem ressalvas, e vale ser preciso sobre o que ele é: autenticação chegando a uma camada construída para confiar em qualquer coisa que se conecte a ela, e é por isso que implantá-lo numa rede que já existe é tão penoso.

O esforço de interoperabilidade daquela época (fabricantes certificando os agentes uns dos outros, a Enterasys testando contra a tecnologia da Microsoft, a Foundry fazendo demonstrações com os servidores de política da Microsoft) é um pedaço real e esquecido da história. A indústria tentou, sim, fazer isso funcionar entre fabricantes diferentes, e a tentativa está mais bem documentada do que o resultado.

Por que a ideia foi chamada de fracasso

Por volta de 2010, o controle de acesso à rede tinha virado piada, e os motivos eram operacionais, não técnicos.

O parque não colaborava. Impressoras, leitores de crachá, equipamentos médicos, controladores industriais e sistemas prediais não rodam agente e muitas vezes nem conseguem se autenticar, então cada implantação ia acumulando exceções até que as exceções viravam a própria política.

Agente não escalava. Tudo o que exigia software em cada endpoint falhava na fronteira do parque gerenciado, e a fronteira do parque gerenciado é exatamente onde está o risco.

O bloqueio quebrava coisas, e todo mundo via. Pôr em quarentena um dispositivo que depois se revela o notebook do presidente da empresa ou a bomba de infusão de uma enfermaria é o tipo de erro que marca uma carreira, então as implantações ficavam em modo de monitoramento: o mesmo padrão que o artigo sobre o web application firewall registra, pelo mesmo motivo.

E o perímetro que ela defendia deixou de existir. Como mostra o artigo sobre escopos de rede, controlar a porta deixa de ser decisivo quando o usuário está em casa e a aplicação está na nuvem de outra empresa.

O que aconteceu com ela de verdade

Ela não morreu. Ganhou outro nome e outro escopo.

O zero trust é, na essência, a mesma proposta: nunca confiar com base na localização, avaliar o tempo todo, autorizar recurso por recurso. A postura do dispositivo num provedor de identidade é a verificação de saúde, que saiu do switch e foi para o login. O acesso condicional é o motor de políticas. O endpoint detection and response alimentando uma plataforma de identidade para revogar uma sessão é o detectar, localizar, conter e remediar, só que rodando acima da rede, e não dentro dela.

As diferenças são reais e vale dizer quais são. Hoje a política é aplicada na camada de aplicação e de identidade, e não na porta, o que funciona para um notebook num café e não resolve nada para uma câmera comprometida numa VLAN de fábrica. O modelo antigo alcançava a porta e não alcançava a nuvem; o novo é o contrário, e os parques que precisam dos dois estão rodando os dois.

Enquanto isso, o problema original voltou com nova força: tecnologia operacional, sistemas prediais e dispositivos conectados são justamente a população que não consegue rodar agente, e controlá-los significa controlar a porta. O controle de acesso na borda da rede voltou a ser comprado, por gente que nem usaria a sigla.

Cargos e práticas

Esta família não deixou nenhum cargo duradouro, mas deixou um conjunto de práticas que se aplicam por inteiro em outras áreas.

Monitorar antes de bloquear, com data marcada: a disciplina que este catálogo encontra em toda família capaz de derrubar a produção. O registro de exceções, porque os dispositivos que não conseguem se autenticar vão estar sempre lá, e fingir o contrário só produz uma política paralela. O profiling (a identificação de cada dispositivo) antes da política, já que não dá para escrever regras para um parque que ninguém inventariou, e toda implantação descobre dispositivos que ninguém sabia que estavam conectados. E um caminho de volta testado, porque aqui o modo de falha é trancar a empresa inteira do lado de fora.

O hábito mais valioso que ela deixou é o menos técnico: decidir de antemão quem pode pôr um dispositivo em quarentena às três da manhã, e o que acontece se essa pessoa errar.

Para onde isso vai

As duas metades estão convergindo. O acesso condicional na camada de identidade e o controle na camada de rede estão sendo vendidos juntos, porque os parques que importam têm tanto notebooks quanto coisas que nunca vão rodar software.

A microssegmentação é a mesma ideia, com granularidade mais fina. Decidir continuamente se um workload pode falar com outro é a pergunta do SecureFast, com as pontas trocadas: em vez de pessoas, processos.

E vale deixar o registro bem claro. Um fabric orientado a conexão, que se recusava a montar um caminho se a política não permitisse, e um ciclo integrado, da detecção até a contenção automática na porta de origem, já eram produtos à venda antes de existir a maior parte do vocabulário atual. Eles não estavam à frente da tecnologia; estavam à frente do que as equipes de operação estavam dispostas a adotar. Chegar cedo demais é indistinguível de estar errado, até o dia em que alguém reconstrói a mesma coisa e dá a ela outro nome.

Fontes