Openvpn con autenticazione TOTP

Questa è una configurazione per un server openvpn su Linux (provato su Debian e Openwrt) con autenticazione basata su certificato e su un codice TOTP. E` una soluzione mediamente semplice, basata su uno shell script e files di testo. Per scelta non chiedo all'utente sia una password fissa che un codice variabile, ma solo il codice variabile. Visto che per autenticarsi l'utente usa sia un certificato che il codice variabile, ritendo che inserire anche una password sia superfluo.

Principio di funzionamento: Prima di tutto Openvpn autentica il certificato (e se non è valido non si procede in ogni caso), poi verifica che lo username sia uguale al common name del certificato, e infine verifica il codice TOTP. Se tutte le verifiche passano, l'utente è autenticato. Siccome ogni tot tempo (default 1 ora) Openvpn ristabilisce la connessione e rigenera le chiavi simmetriche effimere di crittografia, l'autenticazione a quel punto verrebbe rifatta e fallirebbe perché nel frattempo il codice TOTP è cambiato. Per evitare che questo succeda, una volta stabilita la connessione viene scambiato un cookie di autenticazione che viene usato per tutte le riconnessioni successive, fino a che non viene chiusa definitivamente la connessione.

Notare che io volutamente richiedo che ci sia un certificato personale per ogni utente. Sarebbe possibile volendo usare un unico certificato per tutti gli utenti e autenticare i singoli utenti basandosi su username e TOTP, però questo a mio avviso rende meno sicuro il sistema in quanto rende possibile accedere possedendo un certificato rubato ad un utente e un codice TOTP rubato ad un altro utente. Inoltre una volta che per qualche motivo venisse compromesso il certificato utente (si presume che ce ne sia uno solo usato da tutti) o continuo a usare un certificato compromesso oppure devo revocarlo e quindi dare un nuovo certificato a tutti gli utenti, e non solo ad un singolo utente.

Configurazione openvpn lato server

Lato server, uso una configurazione molto simile a quella di ../Openvpn_Con_Certificati, alla quale faccio alcune modifiche per gestire la doppia autenticazione.

Le modifiche nel dettaglio sono queste:

• Non posso usare i comandi "user nobody / group nogroup" in quanto non potrei più eseguire lo script che autentica il codice TOTP una volta che ho fatto il downgrade dei privilegi. Al momento mi limito a non farlo e girare come root, potrei nel caso scegliere di usare un utente che non sia nobody e che possa eseguire lo script e leggere il file che contiene i dati per il TOTP.
• Sempre per lanciare lo script che controlla il codice TOTP, devo impostare script-security a 2 e definire una directory temporanea dove scrivere dei files (idealmente un ramdisk)
• Per evitare che allo scadere della sessione di validità della connessione (come spiegato prima) openvpn riprovi ad autenticarmi con un codice TOTP che fallirebbe, imposto un cookie di sessione con comando "auth-gen-token"
• Per avere più informazioni nel file di stato, che contengano oltre al common name del certificato anche lo username, uso il comando "status-version 2" (questa parte è assolutamente facoltativa)

La configurazione risultante è questa:

• port 1194
  proto udp
  dev tun0
  
  # Certificati e chiavi
  tls-server
  dh dh.pem
  ca ca.crt
  cert server.crt
  key server.key
  
  
  # rete per l'interfaccia privata. il server si prende il .1 e
  # i clienti gli altri indirizzi di questa subnet.
  # Qui si usa una rete che non sia quella locale del server.
  server 192.168.99.0 255.255.255.0
  
  # nuova logica di assegnazione degli ip e subnet ai client:
  # funziona SOLO con openvpn 2.5 in avanti
  topology subnet
  
  
  # tengo traccia degli indirizzi assegnati ai server e riassegno sempre
  # quelli usando questo file. (facoltativo)
  ifconfig-pool-persist server-pool-cache.txt
  
  # configurazioni di routing da insegnare ai client che si collegano.
  # in pratica questo comando dice al client che 192.168.0.0/24 (la mia LAN) va mandato alla vpn
  # posso ripetere piu` righe con piu` reti/host, e verranno tutti impostati nel routing del client
  # nel momento in cui questo si collega.
  push "route 192.168.1.0 255.255.255.0"
  
  # configurazioni varie da insegnare ai client. Anche in questo caso, insegno al client
  # che deve usare il mio DNS mentre è connesso alla VPN, che il dominio interno è "pippo.locale"
  # e che c'e` un server WINS. Ovviamente il WINS e` facoltativo, così come anche gli altri parametri, 
  # però se vogliamo che il client risolva i nomi interni, sarà il caso di metterli.
  push "dhcp-option DNS 192.168.1.1"
  push "dhcp-option DOMAIN pippero.internal"
  
  
  # workaround per i provider stronzi che rispondono con un loro ip interno alle richieste dns
  # che dovrebbero dare nxdomain. Inoltre, evita anche il leak di richieste DNS.
  # si applica SOLO a client da windows da 7 in poi. Non dovrebbe rompere comunque i client diversi.
  push "block-outside-dns"
  
  
  # consento ai clients di vedersi fra di loro (se non volete, togliete la riga)
  client-to-client
  
  # keepalive e timeout: ping ogni 30 secondi e timeout di 120 secondi.
  keepalive 30 120
  
  # in caso di reload, tieni in memoria i dati che non potresti piu` rileggere a causa del privilegio insufficiente
  persist-key
  persist-tun
  
  # file che indica lo stato delle connessioni, ad uso di chi lo vuole leggere
  status server-status.log
  status-version 2
  
  # log verboso per debug (si puo` togliere)
  verb 4
  
  
  # per gestire il sistema TOTP come spiegato prima 
  script-security 2
  auth-user-pass-verify /etc/openvpn/oath.sh via-file
  tmp-dir /tmp
  auth-gen-token

Ovviamente qui non spiego come generare i certificati, ecc. Fate riferimento alla pagina ../Openvpn_Con_Certificati

Script per autenticare con TOTP lato server

Questo è il contenuto dello script "oath.sh" che è indicato nella configurazione di Openvpn. Questo script legge un due files: uno e` il file "oath.secrets" che contiene username e seed per generare il codice TOTP, e l'altro gli viene passato da openvpn (dentro la tmp-dir) e contiene user e codice TOTP che l'utente ha inserito per autenticarsi. Questo script va adattato indicando il percorso del file "oath.secrets" (nome e percorso sono a vostra scelta, io lo tengo dentro /etc/openvpn)

Questo script richiede di avere installato il programma "oathtool", che esiste come pacchetto sia in debian che in openwrt.

•  #!/bin/bash
  # script che verifica i codici TOTP su un file di testo
  
  passfile=$1
  
  # Leggo i dati che mi passa openvpn via file temporaneo
  user=$(head -1 $passfile)
  pass=$(tail -1 $passfile) 
  
  # Verifico che lo username contenga solo caratteri validi
  if ! [[ "$user" =~ ^[0-9a-zA-Z._@-]+$ ]]; then
          exit 1
  fi
  
  # Verifico che la password contenga solo numeri
  if ! [[ "$pass" =~ ^[0-9]+$ ]]; then
          exit 1
  fi
  
  # Verifico che lo username che ho ricevuto sia uguale al 
  # common name del certificato con il quale l'utente si connette
  # questa e` doppia paranoia.
  if ! [[ "$user" = "${common_name}" ]]; then
          logger -s openvpn_MFA "Common name mismatch: Access denied for $user (common name: ${common_name})"
          exit 1
  fi
  
  # Cerco lo username in oath.secrets ed estraggo la stringa
  # che contiene la chiave per generare il codice TOTP (in base32)
  # QUI NEL CASO IMPOSTATE IL PATH O IL NOME DEL FILE COME VOLETE VOI
  secret=$(grep -m 1 "^$user:" oath.secrets | cut -d: -f2)
  
  # Calcolo il codice TOTP e vedo se coincide
  # se coincide esco con exit code 0, altrimenti con exit code 1
  code=$(oathtool --totp -b $secret)
  if [ "$code" = "$pass" ];
  then
          logger -s openvpn_MFA "Access granted for $user (common name: ${common_name})"
          exit 0
  fi
  
  exit 1

Script per generare le righe da inserire nel file oath.secrets

Il file oath.secrets contiene un utente per riga, nella forma username:seme del TOTP. Il carattere che separa i campi e` il "due punti" e quindi è vietato creare degli username che contengano quel carattere. In ogni caso Openvpn per motivi di sicurezza non consente di usare caratteri che non siano lettere numeri e i caratteri . _ @ - (punto, underscore, chiocciola, e meno). Quindi per i vostri username usate lettere numeri e solo questi simboli. Gli username sono case sensitive.

Per generare il seed per il TOTP uso il programma "oathtool" che peraltro è anche quello che uso per verificare i codici TOTP in fase di autenticazione. Per rendere più comodo impostare il codice sulla app del cellulare, uso qrencode per generare dei QR code che vengono salvati come "username.png"

Questo script, che non è necessario che giri sullo stesso server dove gira openvpn, richiede che siano installati i seguenti programmi: oathtool, pwgen, base32, qrencode. Sono tutti disponibili come pacchetti debian e anche su openwrt.

Se usiamo questo script sulla stessa macchina dove si trova openvpn possiamo direttamente fargli scrivere il file oath.secrets che viene letto da openvpn, in alternativa dovremo copiare a mano gli utenti da una macchina all'altra.

Notare che questo script semplicemente accoda una riga ogni volta al file oath.secrets, e non è in grado né di cancellare né di modificare utenti esistenti. Per farlo dovrete manomettere il file a mano.

•  #!/bin/bash
  # uso: creautente  <username>
  
  # Qui posso hardcodare un issuer per le chiavi che genero
  # notare che va urlencoded quindi per dire uno spazio diventa %20
  # è puramente estetico, viene scritto nella app del cellulare quando si legge il QR code.
  # non ha alcuna funzione nella autenticazione.
  issuer='Nome%20Azienda'
  
  # Se non ho esattamente un argomento, esco con un errore
  if [ "$#" -ne 1 ]; then
      echo "Numero di argomenti errato"
          echo "USO: $0 <username>"
          echo "Esempio: $0 mario.rossi"
          exit 1
  fi
  
  # Se il nome utente contiene qualcosa che non siano i caratteri accettati da openvpn, non procedo
  if ! [[ "$1" =~ ^[0-9a-zA-Z._@-]+$ ]]; then
      echo "Errore, lo username può contenere solo lettere, numeri, e questi caratteri speciali: _ - . @"
          echo "Non sono accettate le lettere accentate."
          echo "Gli emoji sono FUORI DISCUSSIONE"
          exit 1
  fi
  
  # se esiste già un file di QR code con lo stesso nome dell'utente  che sto creando, esco con un errore
  if [ -f $1.png ]; then
     echo "Errore: esiste già un file di QR code con nome $1.png."
     exit 1
  fi
  
  
  # creiamo una stringa per il TOTP  di 9 caratteri e la convertiamo in base32
  # uso 9 caratteri che producono 16 caratteri in base32, e` lo standard che usa MS
  totp=`pwgen -sy 9 1 | base32`
  
  echo "Creo utente $1 con otp-secret $totp"
  echo "Il QR code relativo è creato in un file con nome $1.png"
  echo "la riga per aggiungere l'utente su openvpn è accodata al file oath.secrets"
  
  qrencode -o $1.png  -d 300 -s 10 "otpauth://totp/$issuer:$1?secret=$totp"
  
  echo "$1:$totp"  >> oath.secrets
  exit 0

Configurazione lato client

Lato client, la configurazione è di nuovo simile a quella usata in ../Openvpn_Con_Certificati con poche modifiche per renderla compatibile con la necessità di inserire username e password. Notare che il client openvpn per Windows permette di salvare lo username (lo fa per default, senza dover impostare nulla) e anche di salvare la password. Evitate di salvare la password perché la password è il codice TOTP che cambia ogni volta.

• client
  dev tun
  proto udp
  nobind
  float
  remote hostname_del_server_vpn
  
  # files con le chiavi utente
  ca ca.crt
  cert testclient.crt
  key testclient.key
  
  # il certificato del server deve essere di tipo "server"
  # questo evita che chi possiede un certificato client possa spacciarsi per server
  remote-cert-tls server
  
  
  #log verboso (se ci interessa)
  verb 3
  
  # Queste config sono specifiche per TOTP
  persist-tun
  auth-user-pass
  auth-nocache
  auth-retry interact
  reneg-sec 0
  hand-window 15

Configurazione app sul cellulare

È possibile usare qualsiasi app che possa leggere i QR code per generare i codici TOTP. Le app che ho provato personalmente sono "Aegis" e "2FAS Auth", ma dovrebbero funzionare anche Google Authenticator e Microsoft Authenticator.